网络风险管理将变得更加轻松

新的连续自动渗透和攻击测试工具将帮助首席财务官(CISO)更好地了解其弱点并采取最重要的补救措施。

与两年前相比，如今管理组织的网络风险更加困难。根据最近的一项ESG调查，73%的安全专业人士这样说。为什么会这样？受访者指出了一系列因素，如攻击数量的增加、软件漏洞的增加以及网络攻击者技术实力的增强。

那么组织如何减轻日益增长的网络风险呢？一种常见的方法是通过红色团队和渗透测试等练习更好地利用现有的网络防御力量。

许多组织进行了渗透测试或红色团队测试，使用这些数据来衡量安全团队的绩效，与信息技术领导者一起评估结果，并重新评估——一系列安全控制措施和流程，所有这些都是有价值的结果。

但是问题是:大多数组织一年只做一两次这个练习。此外，ESG研究显示，在75%的组织中，渗透测试和红色团队测试只能持续两周甚至更短时间。尽管渗透测试和红色团队测试很有价值，但它们也非常昂贵，并且很少有组织拥有专业人员或高级技能来亲自进行这些演练或使用第三方服务来增加演练的数量。

在快速变化的信息技术环境中，仅仅花两周时间进行安全防御是不够的。

这时持续的自动渗透和攻击测试就可以帮助你

幸运的是，网络安全技术有一个新兴的有前途的市场领域，ESG称之为连续自动渗透和攻击测试(CAPAT)。企业不雇佣熟练的渗透测试黑客或白帽黑客进行连续的自动渗透和攻击测试。相反，它们通过网络钓鱼电子邮件、社交工程或应用层漏洞等技术来模拟攻击者的行为，以消除网络安全链中的薄弱环节。

与喜欢遵循静态攻击模式的人不同，持续的自动渗透和攻击测试工具可以不断更新，以包括最新的攻击策略、技术和程序(TTP)，因此组织可以评估其针对当前攻击的防御能力，而不仅仅是通过道德黑客使用的久经考验的工具。当查看和理解组织网络的特征时，一些工具使用机器学习对攻击进行微小的改变。该领域的供应商包括AttackIQ、Cymulate、Randori、SafeBreach、Verodin和XM Cyber。

如果这些工具使用得当，它们确实可以帮助组织改进网络风险的测量/管理。换句话说，首席信息安全官可以识别弱点，并一个接一个地采取补救措施。这也将有助于提高网络安全支出带来的投资回报，使安全团队能够根据数据而不是知情猜测，在最重要的领域投资预算资金。

使用连续自动渗透和攻击测试工具的好处

如您所知，我对这项技术很乐观，相信企业将在未来18到24个月内测试、测试和部署这些工具。当他们执行以下操作时:

连续自动渗透和攻击测试成为SOAPA的一部分。安全操作工具，如安全事件和事件管理(SIEM)、端点检测和响应(EDR)和网络流量分析(NTA)，通常侧重于威胁管理，而不是风险管理。连续的自动化渗透和攻击测试数据将为这些工具和更集成的安全操作和分析平台架构(SOAPA)提供指导，从而有助于在威胁和漏洞之间达成平衡。当人们在自然环境中发现新的威胁时，SOC团队可以参考连续自动渗透和攻击测试工具，看看他们是否容易受到类似的攻击。持续的自动渗透和攻击测试数据也将与mitreatck框架和其他东西相结合，以帮助SOC团队描述攻击特征并进行逻辑调查。